วิธีเปิดใช้งานเดสก์ท็อประยะไกลโดยใช้นโยบายกลุ่ม (GPO)

ในบทความนี้ คุณจะได้เรียนรู้วิธีเปิดใช้งาน Remote Desktop โดยใช้นโยบายกลุ่ม บนโดเมน Active Directory ที่เข้าร่วมคอมพิวเตอร์ คุณสามารถเปิดใช้งานเดสก์ท็อประยะไกลได้โดยใช้ GPO

เดสก์ท็อประยะไกล เป็นคุณลักษณะของระบบปฏิบัติการที่ช่วยให้ผู้ใช้สามารถเชื่อมต่อกับคอมพิวเตอร์ในตำแหน่งอื่น ดูเดสก์ท็อปของคอมพิวเตอร์เครื่องนั้น และโต้ตอบกับคอมพิวเตอร์ได้เสมือนอยู่ในเครื่อง

คุณลักษณะเดสก์ท็อประยะไกลของ Windows 11 ถูกใช้โดยฝ่ายไอทีเป็นหลักสำหรับการดูแลระบบระยะไกล โดยทั่วไปแล้ว ทีมไอทีอาศัยการเข้าถึงเดสก์ท็อประยะไกลเพื่อเชื่อมต่อกับอุปกรณ์ต่างๆ เช่น Windows 11, Windows Server 2022 และจัดการงานต่างๆ

ความจำเป็นในการเปิดใช้งานเดสก์ท็อประยะไกลจะเกิดขึ้นเมื่อคุณมีไซต์ระยะไกล และคุณต้องสนับสนุนผู้ใช้ระยะไกล การเปิดใช้งาน Remote Desktop ผ่านนโยบายกลุ่มในคอมพิวเตอร์ทุกเครื่องน่าจะเป็นทางออกที่ดีที่สุด

ในองค์กรส่วนใหญ่ คุณลักษณะเดสก์ท็อประยะไกลจะเปิดใช้งานตามค่าเริ่มต้น โดยทั่วไปแล้ว ในสภาพแวดล้อม Active Directory GPO จะถูกใช้เพื่อเปิดใช้งานเดสก์ท็อประยะไกล เริ่มต้นด้วยการเปิดใช้งานคุณลักษณะ Remote Desktop

อ่าน: คุณลักษณะ Intune Remote Help ใน Endpoint Manager

ขั้นตอนในการเปิดใช้งานเดสก์ท็อประยะไกลโดยใช้นโยบายกลุ่ม

มีการกำหนดค่าสามประการที่คุณต้องการเพื่อเปิดใช้งานเดสก์ท็อประยะไกลบนคอมพิวเตอร์:

1. อนุญาตให้ผู้ใช้เชื่อมต่อระยะไกลโดยใช้บริการเดสก์ท็อประยะไกล
2. ต้องมีการตรวจสอบผู้ใช้สำหรับการเชื่อมต่อระยะไกลโดยใช้การตรวจสอบความถูกต้องระดับเครือข่าย
3. อนุญาตพอร์ต 3389 (พอร์ตเดสก์ท็อประยะไกล) ผ่านไฟร์วอลล์ Windows

จำเป็นต้องมีการกำหนดค่าข้างต้นทั้งหมดเพื่อให้ฟีเจอร์ Remote Desktop ทำงานบนคอมพิวเตอร์ได้ และการกำหนดค่าทั้งหมดสามารถใช้ได้ผ่านนโยบายกลุ่ม

เรียนรู้: วิธีปิดการใช้งานการตรวจสอบการอัปเดตโดยใช้นโยบายกลุ่ม (GPO)

เมื่อคุณสร้างนโยบายกลุ่ม คุณไม่จำเป็นต้องใช้ในระดับโดเมน คุณสามารถนำไปใช้กับ OU ที่เลือกหรือเชื่อมโยง GPO กับ OU หลายรายการได้

ในบทความนี้ ฉันจะสร้างและใช้ GPO ในระดับโดเมนในขณะที่ฉันกำลังทำสิ่งนี้ในการตั้งค่าห้องปฏิบัติการของฉัน การใช้ GPO ในระดับโดเมนหมายความว่าคุณกำลังเปิดใช้งานคุณลักษณะเดสก์ท็อประยะไกลบนคอมพิวเตอร์ทุกเครื่องที่เข้าร่วมโดเมน

ในกรณีของคุณ คุณอาจต้องทดสอบนโยบายกับคอมพิวเตอร์ชุดนำร่องก่อน จากนั้นจึงเชื่อมโยง GPO กับ OU หรือกลุ่มของระบบที่จำเป็น ขั้นตอนในการเปิดใช้งานเดสก์ท็อประยะไกลจะยังคงเหมือนเดิมไม่ว่าคุณจะใช้นโยบายที่ไหนและอย่างไร

อ่านเพิ่มเติม: วิธีเปิดใช้งานความช่วยเหลือระยะไกลโดยใช้นโยบายกลุ่ม

หมายเหตุ: คุณสามารถสร้าง GPO แยกต่างหากสำหรับทุกการกำหนดค่า หรือสร้าง GPO เดียวและเพิ่มการกำหนดค่าข้างต้นทั้งหมดลงใน GPO เดียว

ขั้นตอนที่ 1 - สร้าง GPO เพื่อเปิดใช้งานเดสก์ท็อประยะไกล

ตอนนี้เราจะดูขั้นตอนในการเปิดใช้งาน Remote Desktop โดยใช้ Group Policy

• เข้าสู่ระบบ Windows Server และเปิดคอนโซลการจัดการนโยบายกลุ่ม (GPMC)
• ขยาย โดเมน และคลิกขวาที่โดเมนของคุณและเลือก สร้าง GPO ในโดเมนนี้และเชื่อมโยงที่นี่

ป้อนชื่อของ GPO ใหม่นี้เป็น “เปิดใช้งานเดสก์ท็อประยะไกล” และคลิก ตกลง

คุณต้องแก้ไข GPO และดำเนินการกำหนดค่านโยบายต่อไปนี้

ขั้นตอนที่ 2 - เปิดใช้งานอนุญาตให้ผู้ใช้เชื่อมต่อระยะไกลโดยใช้บริการเดสก์ท็อประยะไกล

นโยบายแรกที่เราจะกำหนดค่าคือ อนุญาตให้ผู้ใช้เชื่อมต่อจากระยะไกลโดยใช้บริการเดสก์ท็อประยะไกล การตั้งค่านโยบายนี้ช่วยให้คุณสามารถกำหนดค่าการเข้าถึงคอมพิวเตอร์ระยะไกลโดยใช้บริการเดสก์ท็อประยะไกล

หากคุณเปิดใช้งานการตั้งค่านโยบายนี้ ผู้ใช้ที่เป็นสมาชิกของกลุ่มผู้ใช้เดสก์ท็อประยะไกลบนคอมพิวเตอร์เป้าหมายสามารถเชื่อมต่อจากระยะไกลไปยังคอมพิวเตอร์เป้าหมายได้โดยใช้บริการเดสก์ท็อประยะไกล

หากคุณปิดใช้งานการตั้งค่านโยบายนี้ ผู้ใช้จะไม่สามารถเชื่อมต่อระยะไกลไปยังคอมพิวเตอร์เป้าหมายโดยใช้บริการเดสก์ท็อประยะไกล คอมพิวเตอร์เป้าหมายจะรักษาการเชื่อมต่อปัจจุบันไว้ แต่จะไม่ยอมรับการเชื่อมต่อขาเข้าใหม่

อ่าน: วิธีอนุญาตการเข้าสู่ระบบผ่านบริการเดสก์ท็อประยะไกล

ในตัวแก้ไขการจัดการนโยบายกลุ่ม ให้ไปที่ การกำหนดค่าคอมพิวเตอร์ > นโยบาย > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > บริการเดสก์ท็อประยะไกล > โฮสต์เซสชันเดสก์ท็อประยะไกล > การเชื่อมต่อ

คลิกขวาที่การตั้งค่านโยบาย “อนุญาตให้ผู้ใช้เชื่อมต่อระยะไกลโดยใช้บริการเดสก์ท็อประยะไกล” แล้วเลือกแก้ไข ตอนนี้เปิดใช้งานการตั้งค่านโยบายนี้โดยเลือก เปิดใช้งาน คลิก ใช้ และ ตกลง

ขั้นตอนที่ 3 - เปิดใช้งานระดับเครือข่าย การตรวจสอบสิทธิ์สำหรับการเชื่อมต่อระยะไกล

การตั้งค่านโยบาย “ต้องมีการตรวจสอบสิทธิ์ผู้ใช้สำหรับการเชื่อมต่อระยะไกลโดยใช้การตรวจสอบสิทธิ์ระดับเครือข่าย” ช่วยให้คุณสามารถระบุว่าจะต้องตรวจสอบสิทธิ์ผู้ใช้สำหรับการเชื่อมต่อระยะไกลไปยังเซิร์ฟเวอร์โฮสต์ของเซสชัน RD โดยใช้การตรวจสอบสิทธิ์ระดับเครือข่ายหรือไม่

การรับรองความถูกต้องระดับเครือข่ายเป็นวิธีการที่ใช้ในการปรับปรุงความปลอดภัยของเซิร์ฟเวอร์โฮสต์ของเซสชัน RD โดยกำหนดให้ผู้ใช้ต้องได้รับการรับรองความถูกต้องกับเซิร์ฟเวอร์โฮสต์ของเซสชัน RD ก่อนที่จะสร้างเซสชันได้

การตั้งค่านโยบายนี้ช่วยเพิ่มความปลอดภัยโดยกำหนดให้การรับรองความถูกต้องของผู้ใช้เกิดขึ้นก่อนหน้านี้ในกระบวนการเชื่อมต่อระยะไกล

หากคุณเปิดใช้งานการตั้งค่านโยบายนี้ เฉพาะคอมพิวเตอร์ไคลเอนต์ที่รองรับการรับรองความถูกต้องระดับเครือข่ายเท่านั้นที่สามารถเชื่อมต่อกับเซิร์ฟเวอร์โฮสต์ของเซสชัน RD

อ่าน: ปิดใช้งาน Windows Spotlight โดยใช้ GPO

เมื่อต้องการตรวจสอบว่าคอมพิวเตอร์ไคลเอนต์สนับสนุนการรับรองความถูกต้องระดับเครือข่ายหรือไม่ ให้เริ่มการเชื่อมต่อเดสก์ท็อประยะไกลบนคอมพิวเตอร์ไคลเอนต์ คลิกไอคอนที่มุมซ้ายบนของกล่องโต้ตอบการเชื่อมต่อเดสก์ท็อประยะไกล จากนั้นคลิก เกี่ยวกับ ในกล่องโต้ตอบเกี่ยวกับการเชื่อมต่อเดสก์ท็อประยะไกล ให้มองหาวลีที่สนับสนุนการรับรองความถูกต้องระดับเครือข่าย

หากคุณปิดใช้งานการตั้งค่านโยบายนี้ การรับรองความถูกต้องระดับเครือข่ายไม่จำเป็นสำหรับการตรวจสอบผู้ใช้ก่อนที่จะอนุญาตการเชื่อมต่อระยะไกลไปยังเซิร์ฟเวอร์โฮสต์ของเซสชัน RD

ขอแนะนำให้คุณเปิดใช้งานการตั้งค่านโยบายนี้เมื่อคุณเปิดใช้งานเดสก์ท็อประยะไกลโดยใช้นโยบายกลุ่ม

ในตัวแก้ไขการจัดการนโยบายกลุ่ม ให้ไปที่ การกำหนดค่าคอมพิวเตอร์ > นโยบาย > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > บริการเดสก์ท็อประยะไกล > โฮสต์เซสชันเดสก์ท็อประยะไกล > ความปลอดภัย

คลิกขวาที่การตั้งค่านโยบาย “ต้องมีการตรวจสอบสิทธิ์ผู้ใช้สำหรับการเชื่อมต่อระยะไกลโดยใช้การตรวจสอบสิทธิ์ระดับเครือข่าย” และคลิก แก้ไข เปิดใช้งานการตั้งค่านโยบายนี้โดยเลือก เปิดใช้งาน คลิก ใช้ และ ตกลง

เมื่อเปิดใช้งานการตั้งค่านโยบายข้างต้น คุณสามารถเลือก GPO “เปิดใช้งานเดสก์ท็อประยะไกล” และดูการตั้งค่าที่กำหนดค่าไว้ การตั้งค่าจะปรากฏให้เห็นเมื่อคุณเลือกแท็บ การตั้งค่า ของ GPO ในคอนโซล GPM

ขั้นตอนที่ 4 - อนุญาตพอร์ต 3389 (พอร์ตเดสก์ท็อประยะไกล) ผ่านไฟร์วอลล์ Windows

Remote Desktop Protocol ฟังบนพอร์ต TCP 3389 และพอร์ต UDP 3389 หากไฟร์วอลล์โดเมนของคุณไม่ได้รับอนุญาตให้ใช้พอร์ต 3389 การเชื่อมต่อ RDP จะล้มเหลว

ขั้นตอนด้านล่างแสดงวิธีการเปิดพอร์ต RDP 3389 ผ่านไฟร์วอลล์ Windows ในกรณีที่อนุญาตให้ใช้พอร์ต 3389 ผ่านไฟร์วอลล์ ให้ข้ามไปยังส่วนถัดไป

แนะนำ: กำหนดค่าข้อความเข้าสู่ระบบแบบโต้ตอบของตัวควบคุมโดเมน

ตามที่กล่าวไว้ก่อนหน้านี้ คุณสามารถแก้ไข GPO ที่มีอยู่และอนุญาตพอร์ต 3389 หรือสร้าง GPO ใหม่เพื่อเปิดใช้งานพอร์ตเดสก์ท็อประยะไกล 3389

ใน Group Policy Management Editor ให้ไปที่ การกำหนดค่าคอมพิวเตอร์ > การตั้งค่า Windows > การตั้งค่าความปลอดภัย > ไฟร์วอลล์ Windows Defender พร้อมความปลอดภัยขั้นสูง แข็งแกร่ง>.

เราต้องการอนุญาตการเชื่อมต่อ RDP ขาเข้ากับคอมพิวเตอร์ทุกเครื่อง (พอร์ต TCP 3389) คลิกขวาที่ส่วนกฎขาเข้าและเลือก กฎใหม่

ในหน้าต่าง ประเภทกฎ ให้เลือก พอร์ต คลิก ถัดไป

ในหน้าต่าง Protocol and Ports ให้กำหนดค่าดังต่อไปนี้:

• กฎนี้ใช้กับ TCP หรือ UDP หรือไม่ - เลือก TCP
• กฎนี้ใช้กับพอร์ตในเครื่องทั้งหมดหรือพอร์ตในเครื่องเฉพาะหรือไม่ - เลือก พอร์ตท้องถิ่นเฉพาะ และป้อนหมายเลขพอร์ต - 3389

คลิก ถัดไป เพื่อดำเนินการต่อ

เนื่องจากเราต้องการอนุญาตพอร์ต 3389 ผ่านไฟร์วอลล์ของเรา ให้เลือก อนุญาตการเชื่อมต่อ คลิก ถัดไป

นี่เป็นส่วนสำคัญที่คุณต้องเลือกโปรไฟล์และระบุว่ากฎนี้จะมีผลเมื่อใด ท้ายที่สุดแล้ว โปรไฟล์โดเมนคือที่ที่คุณต้องการให้อนุญาตพอร์ต 3389 คลิก ถัดไป

ระบุชื่อและคำอธิบายของกฎนี้แล้วคลิก เสร็จสิ้น

เราได้สร้างกฎขาเข้าที่อนุญาตพอร์ต 3389 พร้อมกับเปิดใช้งานนโยบาย GPO เดสก์ท็อประยะไกลเรียบร้อยแล้ว

ขั้นตอนที่ 5 - ทดสอบ “เปิดใช้งาน Remote Desktop GPO” บนเครื่องไคลเอ็นต์

นี่เป็นขั้นตอนสุดท้ายที่เราตรวจสอบว่า GPO ได้รับการปรับใช้กับเครื่องไคลเอนต์เรียบร้อยแล้วหรือไม่ ตามค่าเริ่มต้น ช่วงเวลาการรีเฟรชนโยบายกลุ่มคือ 90 นาที คุณสามารถแก้ไขช่วงเวลาการรีเฟรช GP ได้หากจำเป็น

บนคอมพิวเตอร์ไคลเอ็นต์ ให้เปิด CMD ในฐานะผู้ดูแลระบบ และเรียกใช้คำสั่ง gpupdate รอให้การอัปเดตนโยบายคอมพิวเตอร์และการอัปเดตนโยบายผู้ใช้เสร็จสิ้น

ตอนนี้ไปที่ คุณสมบัติของระบบ และเลือกแท็บ ระยะไกล โปรดสังเกตว่าเปิดใช้งานการอนุญาตการเชื่อมต่อระยะไกลกับคอมพิวเตอร์เครื่องนี้พร้อมกับการรับรองความถูกต้องระดับเครือข่ายสำหรับการเชื่อมต่อ RDP นี่เป็นการยืนยันว่าเราได้เปิดใช้งาน Remote Desktop โดยใช้ Group Policy สำเร็จแล้ว